PHP 官方披露并修复了两个严重的远程代码执行漏洞，分别为 CVE-2026-109618 和 CVE-2026-109619，统称为 PHP2Shell。漏洞的 CVSS v4.0 评分均为 9.2（Critical）。
攻击者可能通过构造恶意 HTTP 请求，在无需身份验证的情况下触发漏洞，最终实现远程代码执行。受影响的 PHP 服务可能面临应用程序被接管、服务器权限被滥用以及敏感数据泄露等风险。
对于 PHP 8.2–8.5，官方已发布包含安全修复的正式版本。
但对于已经停止维护（EOL）的 PHP 7.4、8.0 和 8.1，常规安全更新已不再提供。考虑到大量存量业务仍依赖这些旧版本，PHP 安全团队额外提供了针对这三个版本系列的最小化源码 backport 修复补丁：
- PHP 7.4：
PHP-7.4-CVE-2026-109618-109619 - PHP 8.0：
PHP-8.0-CVE-2026-109618-109619 - PHP 8.1：
PHP-8.1-CVE-2026-109618-109619
对于仍在使用 PHP 7.4、8.0 或 8.1，且暂时无法升级主版本的环境，可以获取对应版本的官方补丁，将其应用于匹配的 PHP 源码，再重新编译和部署。